Wer zuhause oder im Büro eine Proxmox- oder KVM-Umgebung betreibt, sollte seine Kernel-Version checken: Eine zehn Jahre alte Schwachstelle im Linux-Kernel erlaubte es, aus einer einzelnen virtuellen Maschine heraus in Richtung Host-Speicher vorzudringen — entdeckt wurde sie ausgerechnet von einer KI.
Ein Jahrzehnt alter Fehler in der Checksummen-Prüfung
Die Lücke CVE-2026-99999, von Sicherheitsforschern „PwnEscape“ getauft, steckt im IPv4-Teil des Linux-Kernels und geht laut Changelog auf Kernel-Version 2.6.27 zurück. Der Fehler liegt in der Funktion skb_checksum_help(): Sie validiert die Checksummen-Metadaten eines Pakets nicht ausreichend, bevor die eigentliche Prüfsumme vervollständigt wird. Eine Gast-VM kann dadurch gezielt präparierte Netzwerkpakete schicken, die den IP-Header „wachsen“ lassen — von normal 20 auf bis zu 60 Byte — und so bei jedem Paket ein Stück Host-Speicher mit ausliefern lässt.
Von der Checksumme zum Host-Root
In Tests ließ sich dieser Speicherleck-Effekt wiederholt auslösen und so systematisch Host-Kernel-Speicher aus einer Gast-VM heraus auslesen. Im Labor demonstrierten die Forscher darüber hinaus, dass sich daraus in bestimmten Konfigurationen auch ein Absturz des physischen Hosts oder sogar eine vollständige VM-Escape mit Root-Rechten auf dem Host konstruieren lässt — die Kombination aus Speicherleck, Kontrollverlust über Kernel-Zustand und fehlender Isolation macht die Lücke zu einer der gefährlicheren Kategorien überhaupt.
Gefunden von einer KI im Rahmen eines Million-Dollar-Bug-Bounty
Besonders bemerkenswert ist die Entdeckungsgeschichte: Sicherheitsforscher Paulos Yibelo von pwn.ai fand die Lücke im Rahmen von Vercels öffentlichem Bug-Bounty-Programm, das am 18. August 2026 auf HackerOne startete und für das erfolgreiche Durchbrechen der Isolation des „Vercel Sandbox“-Produkts bis zu 1 Million US-Dollar auslobte. Yibelo nutzte dafür ein experimentelles, KI-gestütztes Forschungswerkzeug namens „Omega-Pwn“, das pwn.ai-eigene Tools mit Elementen der „OmegaClaw“-Architektur von SingularityNET kombiniert — als Reasoning-Engine kam laut Berichten das Sprachmodell GPT-5.6 Sol zum Einsatz. Vercel selbst bestätigte, dass sich der Speicherleck-Effekt auch in echten Produktions-Sandboxes des Unternehmens nachweisen ließ, ohne dass dabei laut Unternehmensangaben tatsächlich Kundendaten abgeflossen sind.
Patch für sieben Kernel-Linien verfügbar
Die Lücke wurde am 15./16. Oktober öffentlich gemacht, zusammen mit Fixes für gleich sieben aktive Stable-Kernel-Zweige: 7.2.11, 6.18.57, 6.12.113, 6.6.159, 6.1.190, 5.15.223 und 5.10.272. Wer eine Distribution mit einem dieser Zweige nutzt — darunter die Kernel-Basis vieler Proxmox-VE-Installationen —, sollte zeitnah aktualisieren. Einen praktikablen Workaround ohne Kernel-Update gibt es nicht, da das Problem tief in der Netzwerk-Stack-Logik des Kernels sitzt.
Für Homelab-Betreiber mit mehreren VMs auf einem gemeinsamen Hypervisor ist das ein gutes Beispiel dafür, warum Kernel-Updates auf dem Hostsystem Priorität haben sollten, selbst wenn alle laufenden Gäste als „vertrauenswürdig“ eingeschätzt werden — ein kompromittierter Gast reicht aus, um die Isolation zu den anderen Gästen und zum Host zu gefährden.